[분석가] 분석 — CVE-2025-71161

• 심각도 high · CVSS 7.5 · EPSS 0.00341 · 악용난이도 moderate

공격자는 dm‑verity가 활성화된 블록 디바이스에 특수히 조작한 이미지 파일을 마운트합니다.
이미지는 fec_read_bufs 함수에서 253 × … (최대 4중 재귀) 반복 호출이 발생하도록 설계되어, verity_hash_for_block이 재귀적으로 실행돼 수십억 번의 해시 연산과 메모리 할당을 유발합니다. 이 과정에서 커널 스레드가 과도한 CPU·메모리를 소모하고 udev‑worker 프로세스가 ‘D’ 상태에 머무르는 등 시스템 전체가 응답 불능(DoS) 상태에 빠집니다.

악용 가능성: AV:N(네트워크)·AC:L(낮은 복잡도)·PR:N(권한 없음)·UI:N(사용자 상호작용 없음) 벡터는, 공격자가 네트워크를 통해 악성 블록 이미지만 제공하면 추가적인 권한 상승이나 사용자 행동 없이도 취약 코드를 호출할 수 있음을 의미합니다. 실제로 dm‑verity가 활성화된 파일시스템을 마운트하도록 유도하고, 253 × 253 × 253 × 253 회 이상의 재귀 해시 계산을 초래하는 특수 이미지를 전달하면 udev‑worker 프로세스가 ‘D’ 상태에 머무르는 DoS 상황이 발생합니다. 이 공격 표면은 블록 디바이스 I/O 경로와 dm‑verity 모듈 내부의 fec_read_bufs·verity_hash_for_block 함수이며, 외부에서 직접 접근 가능한 네트워크 파일 공유(NFS)나 원격 이미지 배포 서비스가 있는 경우 노출 위험이 높아집니다. EPSS = 0.00341이라는 수치는 현재 관측된 실제 악용 확률이 매우 낮지만, 이론적인 심각도와 달리 실전에서 활용될 가능성이 완전히 없지는 않음을 보여줍니다. KEV에 등재되지 않은 점은 아직 공개적으로 확인된 악성 코드나 공격 캠페인이 보고되지 않았다는 의미이며, 따라서 현재는 “moderate” 수준의 위험으로 평가됩니다. 요약하면, 네트워크를 통한 이미지 제공만으로도 복잡도가 낮고 권한이 필요 없으며, dm‑verity가 적용된 시스템이라면 DoS 형태로 악용될 수 있는 공격 표면이 존재합니다.

• 기술적 위험
  • 서비스 중단: 재귀 FEC 처리 루프가 CPU 스파이크와 메모리 고갈을 일으켜 커널 레벨에서 시스템이 멈추거나 패닉을 유발합니다 (CVSS A:H).
  • 무결성 검증 실패: fio->bufs가 재귀 호출 간에 공유되어 부분적으로 덮어쓰기 되므로 dm‑verity 검증 결과가 잘못될 수 있습니다.
  • 추정: 권한 상승 가능성: 현재 보고된 증거는 가용성 파괴에 국한되며, 스택 오버플로우나 특권 승격을 직접 입증하는 자료는 없습니다. 따라서 Privilege Escalation 시나리오는 추정 단계에 머무릅니다.
• 비즈니스 영향
  • 가용성: dm‑verity를 사용하는 서버·컨테이너·임베디드 디바이스에서 이미지 마운트만으로 전체 서비스가 중단될 위험이 있습니다.
  • SLA/컴플라이언스: 가용성이 계약 또는 규제 기준에 포함된 경우, 서비스 중단은 위반 책임을 초래할 수 있습니다.
• 노출 규모
  • Linux 커널 4.5 ~ 6.18.6 버전 전체와 dm‑verity를 활성화한 모든 환경이 대상이며, 다중 소스 교차검증 결과 일관성이 확인되었습니다(교차검증: 보수적 높은 값 채택).
  • 현재 야생 악용은 미관측이며 EPSS 0.00341(중간 수준)으로 향후 12개월 내 실사용 가능성은 낮지만 무시할 수 없습니다.

dm‑verity와 연계된 과거의 무결성 검증 우회(CVE‑2020‑xxxx 등)와 결합될 경우, 먼저 무결성을 회피한 뒤 본 FEC 재귀 루프를 이용해 가용성을 파괴할 수 있습니다. 현재 알려진 직접적인 체이닝 CVE는 없습니다.

• 커널 로그: dmesg·journalctl에 “dm‑verity … recursion limit exceeded”, “FEC recursion”, “udev-worker D”와 같은 메시지가 나타나는지 모니터링.
  • 예시 정규식: (?i)dm[-_]?verity.*(recursion|FEC).*failed|udev-worker\s+D
• Mount 감시: auditd 규칙으로 mount 시스템 콜에 -o verity= 옵션이 포함된 경우를 기록.
  • 예시 룰: -a always,exit -F arch=b64 -S mount -F key=dmverity_mount
• 리소스 지표: fec_read_bufs 호출 시 CPU 사용률 급증·메모리 할당량 증가를 Prometheus + node_exporter 등으로 알림 설정.

1. 패치 적용 – Linux 커널 6.18.7 이상(또는 배포판 제공 최신 업데이트)으로 업그레이드하거나, 해당 버전에 맞는 공식 패치를 백포트합니다. (우선순위 = scheduled, 이번 주 내)
2. dm‑verity 비활성화 – 필요하지 않은 시스템에서는 dm‑verity 옵션을 제거하거나 커널 부팅 시 dm_verity.enabled=0 등으로 비활성화합니다.
3. 마운트 권한 제한 – 비특권 사용자가 임의 이미지에 -o verity= 옵션을 지정해 마운트하지 못하도록 /etc/fstab, SELinux/AppArmor 정책, sudoers 파일을 검토·강화합니다.
4. 재귀 깊이 제한 확인 – 시스템에 dm_verity.recursive_fec_limit와 유사한 sysctl가 존재한다면 최소값(예: 0)으로 설정하고, 존재하지 않을 경우 패치 적용을 우선합니다.
5. 모니터링 및 대응 프로세스 – 위 탐지 지표를 기반으로 자동 알림을 구성하고, 의심 이미지 마운트 시 즉시 해당 프로세스를 종료·조사하도록 SOP를 마련합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00341 · exploit=moderate · in_scope=None